機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)安全中的應(yīng)用芻議

◆雷動

（成都信息工程大學(xué) 四川 610225）

計算機(jī)技術(shù)在現(xiàn)階段各領(lǐng)域發(fā)展進(jìn)行了有效滲透，成為適用性廣泛、技術(shù)性較強(qiáng)、必要性突出的高新技術(shù)之一。但是實(shí)際上在許多領(lǐng)域的計算機(jī)技術(shù)開發(fā)程度較低，導(dǎo)致網(wǎng)絡(luò)安全保障工作中存在許多隱患，那么采取措施對網(wǎng)絡(luò)安全進(jìn)行維護(hù)，保障網(wǎng)絡(luò)信息體系穩(wěn)定性是目前十分急切的任務(wù)。機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)安全保障任務(wù)開展中發(fā)揮了十分重要的推動作用，因此，網(wǎng)絡(luò)安全相關(guān)技術(shù)部門需要對機(jī)器學(xué)習(xí)以及網(wǎng)絡(luò)安全的技術(shù)內(nèi)容進(jìn)行深入探析并掌握，進(jìn)而對機(jī)器學(xué)習(xí)的應(yīng)用價值進(jìn)行明確，進(jìn)而針對性地展開應(yīng)用，使網(wǎng)絡(luò)安全保障工作得到有效落實(shí)，推動國家網(wǎng)絡(luò)體系穩(wěn)定發(fā)展。

1 機(jī)器學(xué)習(xí)概述

機(jī)器學(xué)習(xí)作為人工智能的核心體現(xiàn)，簡單來看即為一組可以通過經(jīng)驗(yàn)數(shù)據(jù)對系統(tǒng)本身性能進(jìn)行一定程度優(yōu)化的算法合集。機(jī)器學(xué)習(xí)的基本方式即指使計算機(jī)對人類行為進(jìn)行模擬，并通過學(xué)習(xí)的方式，使計算機(jī)功能與知識體系更加人性化、智能化、豐富化發(fā)展。機(jī)器學(xué)習(xí)在實(shí)際研究中具有許多方向，在整體上來看，機(jī)器學(xué)習(xí)與推理過程具有十分緊密的聯(lián)系，所以在機(jī)器學(xué)習(xí)方式的分類上具有一定的共識?？紤]到該學(xué)習(xí)的內(nèi)容復(fù)雜性、范圍廣泛性、學(xué)科交叉性等特點(diǎn)，其包含了多樣技術(shù)與知識體系的融合滲透，比方說概率論、統(tǒng)計學(xué)、逼近學(xué)等等。進(jìn)行具體分類主要有五種，一是從學(xué)習(xí)方式不同包括了實(shí)例學(xué)習(xí)、類比學(xué)習(xí)、傳授學(xué)習(xí)、機(jī)械學(xué)習(xí)、歸納學(xué)習(xí)等；二是由知識獲得表現(xiàn)的形式差異，包括決策樹、形式文法、邏輯表達(dá)式、圖和網(wǎng)絡(luò)、計算機(jī)程序、框架和模式以及其他的編程形式等；三是根據(jù)應(yīng)用領(lǐng)域內(nèi)容，包含自然語言、認(rèn)知模擬、數(shù)據(jù)挖掘、故障診斷、專家系統(tǒng)等；四是從綜合分類角度，包括了類比算法、遺傳算法、連接學(xué)習(xí)、分析學(xué)習(xí)等；五即是學(xué)習(xí)形式分類，有監(jiān)督與非監(jiān)督之分。

2 主要的網(wǎng)絡(luò)安全研究

2.1 網(wǎng)絡(luò)安全概述

網(wǎng)絡(luò)安全的定義較廣，一般定義下其指的是網(wǎng)絡(luò)系統(tǒng)硬軟件以及內(nèi)部數(shù)據(jù)信息得到具體的保障，不會在運(yùn)轉(zhuǎn)過程中受到一些突發(fā)的、惡意的、頑固的因素影響，從而對網(wǎng)絡(luò)系統(tǒng)造成數(shù)據(jù)盜取、信號干擾以及體系破壞，保障網(wǎng)絡(luò)系統(tǒng)可以順利、安全運(yùn)轉(zhuǎn)，提供更加優(yōu)質(zhì)的網(wǎng)絡(luò)服務(wù)。一般情況下，計算機(jī)可能出現(xiàn)的網(wǎng)絡(luò)威脅問題主要可分為主動攻擊與被動攻擊。前者是指在主動意識作用下，有具體意識、具體目標(biāo)地對網(wǎng)絡(luò)報文進(jìn)行盜用與修改，安裝惡意程序如計算機(jī)病毒、木馬、邏輯炸彈、流氓頑固軟件等等，阻礙正常程序的運(yùn)轉(zhuǎn)，還有通過主動攻擊行為將大數(shù)量分組傳送到網(wǎng)絡(luò)運(yùn)行服務(wù)器中，進(jìn)而使其拒絕正常服務(wù)行為，更嚴(yán)重的話會出現(xiàn)程序癱瘓狀況。

2.2 網(wǎng)絡(luò)安全技術(shù)分析

（1）惡意軟件檢測技術(shù)：現(xiàn)階段，網(wǎng)絡(luò)安全問題統(tǒng)計數(shù)據(jù)顯示惡意軟件問題是其中占比最大的網(wǎng)絡(luò)威脅，其常在未經(jīng)過用戶通過權(quán)限狀態(tài)下，在后臺進(jìn)行系統(tǒng)安裝與自動運(yùn)行，進(jìn)而對系統(tǒng)秩序進(jìn)行破壞、對系統(tǒng)存儲進(jìn)行頑固占用，為某些不正當(dāng)行為網(wǎng)絡(luò)提供便利。在惡意軟件發(fā)展前期，其具有病毒的一些特征，因此可通過病毒查殺軟件進(jìn)行檢測與清理，但是伴隨技術(shù)發(fā)展，惡意軟件也得到了升級。針對該問題出現(xiàn)了特征碼技術(shù)、駐留式軟件技術(shù)、虛擬機(jī)技術(shù)等等，第一個技術(shù)是現(xiàn)階段持續(xù)使用的技術(shù)，其技術(shù)要點(diǎn)即對惡意軟件的特征值進(jìn)行分析，基于該類特征值，對計算機(jī)中的軟件進(jìn)行掃描檢測，根據(jù)特征值出現(xiàn)的情況進(jìn)行惡意軟件查殺。此外，虛擬機(jī)技術(shù)也是現(xiàn)階段發(fā)展前景較好的技術(shù)之一，其主要是為惡意軟件模型提供一個虛擬運(yùn)行環(huán)境，對其運(yùn)行特征進(jìn)行更加全面的把握，使檢測效果更加準(zhǔn)確。

（2）入侵檢測技術(shù)：該部分檢測不僅需要對已經(jīng)入侵的惡意行為進(jìn)行檢測，還需要對具有入侵趨勢、正在進(jìn)行入侵的惡意行為進(jìn)行檢測?，F(xiàn)階段存在的入侵檢測技術(shù)有特異檢測與異常檢測兩類。前者還被叫作誤用檢測，其是把可識別的入侵使用特定的方式進(jìn)行表達(dá)，構(gòu)成一個具有特征標(biāo)記的網(wǎng)絡(luò)數(shù)據(jù)庫，接著對待測的輸入數(shù)據(jù)展開分析，與數(shù)據(jù)庫中的特征展開對比，若是具有一定符合度，則說明受到了入侵行為。而后者與之最大的區(qū)別就是無須構(gòu)建一個異常數(shù)據(jù)庫，而是對以正常活動軌跡著手，排查出非正常的網(wǎng)絡(luò)行為。

3 機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)安全中的應(yīng)用價值

機(jī)器學(xué)習(xí)于網(wǎng)絡(luò)安全中具有十分突出的應(yīng)用價值，其在面對具體任務(wù)、染指模型、理論研究等方面表現(xiàn)出積極意義，從機(jī)器學(xué)習(xí)的本質(zhì)出發(fā)，也能夠發(fā)現(xiàn)其在網(wǎng)絡(luò)安全保障工作中的優(yōu)勢。

3.1 面向具體任務(wù)

在該部分內(nèi)容中，主要是針對具體任務(wù)的設(shè)計，對一些特定內(nèi)容進(jìn)行分析，以及需要對待執(zhí)行的系統(tǒng)功能進(jìn)行學(xué)習(xí)，對該部分系統(tǒng)展開探究與理解，令網(wǎng)絡(luò)安全保障任務(wù)更加具體化。

3.2 認(rèn)知模型

認(rèn)知模型相關(guān)的具體任務(wù)是需對人類學(xué)習(xí)行為的探究與掌握，進(jìn)而根據(jù)該部分特征進(jìn)行計算機(jī)模擬，構(gòu)建認(rèn)知模型，使網(wǎng)絡(luò)安全保障任務(wù)更加智能化。

3.3 理論研究

該部分內(nèi)容大部分是關(guān)于在對網(wǎng)絡(luò)技術(shù)理論內(nèi)容的學(xué)習(xí)與掌握，進(jìn)而能夠在面對各種類型機(jī)器均具有一定的理論指導(dǎo)，進(jìn)而可以在網(wǎng)絡(luò)秩序維護(hù)中具有充分的理論指導(dǎo)。

3.4 機(jī)器學(xué)習(xí)本質(zhì)

機(jī)器學(xué)習(xí)在本質(zhì)上來看，其是在一個大數(shù)據(jù)相對集中的條件下，對一些數(shù)學(xué)專業(yè)知識支持下的基數(shù)數(shù)據(jù)進(jìn)行引用，進(jìn)而使機(jī)器行為得到優(yōu)化，成功建立機(jī)器模型。在這個機(jī)器模型上，再通過新數(shù)據(jù)的不斷導(dǎo)入，為其構(gòu)建一個不斷更新的學(xué)習(xí)氛圍，進(jìn)而使機(jī)器可以從各個方面對各個時段的數(shù)據(jù)進(jìn)行分析，在一定運(yùn)算法下對未知時間內(nèi)狀況進(jìn)行預(yù)測。機(jī)器學(xué)習(xí)應(yīng)用于網(wǎng)絡(luò)安全所展現(xiàn)的學(xué)習(xí)能力是需要具有相對強(qiáng)的數(shù)據(jù)分析功能，在此前提下，網(wǎng)絡(luò)在運(yùn)行過程中出現(xiàn)安全問題，用戶才能第一時間采取相對有效的控制措施，然后進(jìn)行解決。機(jī)器學(xué)習(xí)與一些電子產(chǎn)品進(jìn)行一定程度的配合，能夠有效的發(fā)現(xiàn)并解決惡意軟件、惡意入侵、垃圾郵件等惡劣程序，進(jìn)而使網(wǎng)絡(luò)環(huán)境安全性、穩(wěn)定性得到增強(qiáng)。

4 機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)安全中的具體應(yīng)用

機(jī)器學(xué)習(xí)應(yīng)用于網(wǎng)絡(luò)安全中的基本流程有六步，第一步是對問題進(jìn)行抽象性分析，第二步是對相關(guān)數(shù)據(jù)進(jìn)行信息調(diào)取與收集，第三步是對得到的數(shù)據(jù)進(jìn)行初步處理，并對數(shù)據(jù)中包含的安全性特征進(jìn)行分析，第四步是基于數(shù)據(jù)分析結(jié)果進(jìn)行模型構(gòu)建，第五步是基于模型進(jìn)行網(wǎng)絡(luò)安全問題模擬進(jìn)而使模型得到驗(yàn)證，最后一步即對作用效果進(jìn)行有效評估。機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)安全中的運(yùn)用范圍廣泛，筆者對入侵檢測、惡意軟件檢測、垃圾郵件檢測、域名檢測等幾方面的具體應(yīng)用展開論述。

4.1 入侵檢測中的應(yīng)用

分類方法是機(jī)器學(xué)習(xí)的核心內(nèi)容，基于此展開入侵檢測具有十分可觀的效果。在現(xiàn)階段機(jī)器學(xué)習(xí)在入侵檢測中的運(yùn)用出現(xiàn)了許多技術(shù)類型如決策樹、最鄰近、支持向量機(jī)等，以決策樹為例，該檢測過程主要是訓(xùn)練數(shù)據(jù)集、數(shù)據(jù)處理、采用算法進(jìn)行數(shù)據(jù)學(xué)習(xí)、形成決策樹、構(gòu)建分類模型。基于該模型進(jìn)行入侵行為的檢測。

4.2 惡意軟件檢測中的應(yīng)用

機(jī)器學(xué)習(xí)的多樣算法為惡意軟件的檢測提供了技術(shù)便利，在研究與測試中也得到了較好的作用效果，并出現(xiàn)了一些基本成熟的技術(shù)類型，例如分類技術(shù)與聚類技術(shù)等等。以分類技術(shù)為例，惡意軟件分類技術(shù)檢測流程主要分為兩大步，分別是對惡意軟件分類模型的訓(xùn)練構(gòu)建、以及未知文本樣品檢測。首先惡意軟件分類模型的構(gòu)建是通過文本訓(xùn)練樣本、提取樣本的文本可識別特征、基于樣本特征構(gòu)建特征數(shù)據(jù)庫等步驟，最終成功完成惡意軟件的分類模型構(gòu)建。接著是對未知文件樣本檢測，第一步是準(zhǔn)備待檢測文件樣本，第二步對樣本的文件特征進(jìn)行提取，第三步是對樣本文件的檢測數(shù)據(jù)進(jìn)行收集，第四步是基于惡意檢測分類模型對樣本進(jìn)行分類檢測，最終得到對惡意軟件的檢測結(jié)果。

4.3 垃圾郵件檢測中的應(yīng)用

垃圾郵件的檢測具有一定的特殊性，其運(yùn)行特征很明顯，處于便利，將其認(rèn)定為分類型問題。舉例說明，把整個郵件定義于一個區(qū)間內(nèi)，即｛-1，1｝，其中1 表示郵件屬于垃圾類型，與之相反的即是1代表正常類型郵件。在進(jìn)行垃圾郵件檢測時，需要對文本消息進(jìn)行向量數(shù)值表達(dá)，進(jìn)而通過向量元素的集中表達(dá)，對文本類型進(jìn)行定性。此外，因?yàn)槔]件檢測過程具有在線要求，所以機(jī)器學(xué)習(xí)應(yīng)用下的識別具有自動性，在數(shù)據(jù)分類作用下，可以在很大程度上優(yōu)化垃圾郵件檢測工作效率，增加檢測的正確性、精準(zhǔn)性。

4.3 域名檢測中的應(yīng)用

域名系統(tǒng)是網(wǎng)絡(luò)總系統(tǒng)中十分重要的核心構(gòu)成之一，因此常被作為系統(tǒng)弱點(diǎn)遭到惡意對象的攻擊，因此，其對于網(wǎng)絡(luò)安全的維護(hù)來說是十分突出的關(guān)鍵突破點(diǎn)。在之前對該部分進(jìn)行檢測時常使用防火墻、黑名單攔截以及域名系統(tǒng)識別等方式。在機(jī)器學(xué)習(xí)支持下，出現(xiàn)了檢測新技術(shù)，即使用在線與離線結(jié)合的雙重模型，來進(jìn)行檢測與防護(hù)的雙功能檢測體系構(gòu)建。分開來看，離線模型的建立，第一步需要對惡意域名、合法域名進(jìn)行辨別，收集對應(yīng)的數(shù)據(jù)特征，從其中找到區(qū)域性特征、DNS 應(yīng)答特征、域名信息特征等；第二步是通過建立相應(yīng)的算法模型，如X-Means 聚類算法、決策樹等；第三步是根據(jù)網(wǎng)站給出的已經(jīng)可識別的域名數(shù)據(jù)集對構(gòu)建的模型進(jìn)行驗(yàn)證與完善；在這三步之后可對域名屬性進(jìn)行判斷。而在線模型，相對于離線模型來說，其域名檢測過程更加自動化，是基于網(wǎng)絡(luò)系統(tǒng)對未知域名的自動查詢與分析，繼而能對未知域名特點(diǎn)進(jìn)行更加全面的提取，對可識別部分的域名進(jìn)行直接標(biāo)記，未標(biāo)記的即為未知域名，之后需要借助分類器，對未知域名進(jìn)行進(jìn)一步檢測，判斷其是否歸于惡意域名，最后進(jìn)行解決。

5 結(jié)束語

綜上所述，機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)安全保障中具有十分突出的應(yīng)用價值，因此需要重視兩者的滲透應(yīng)用。相關(guān)技術(shù)人員需要對機(jī)器學(xué)習(xí)與網(wǎng)絡(luò)安全的基本概念進(jìn)行深入理解，進(jìn)而將兩者的內(nèi)部聯(lián)系進(jìn)行精準(zhǔn)把控，充分發(fā)揮機(jī)器學(xué)習(xí)的應(yīng)用價值，將其有效落實(shí)到網(wǎng)絡(luò)安全保障的實(shí)際工作中去，進(jìn)而充分完善我國網(wǎng)絡(luò)秩序，凈化網(wǎng)絡(luò)發(fā)展環(huán)境。